GitHub 安全公告库 (GHSA)·· 4 小时前AI 评分40
serialize-javascript 7.1.3 修复函数体末尾未转义 </script 导致的 XSS
Serialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
AI 导读
serialize-javascript 在 7.1.3 之前未转义函数源码末尾的裸 </script，嵌入 <script> 元素时可导致 XSS。利用需攻击者控制被序列化函数的源码文本，通常通过伪造 toString() 实现；真实函数以 } 结尾，普通函数值不受影响。该问题已在 7.1.3（#235）修复，无法升级时应避免序列化源码可被攻击者影响的函数值。
来源：GitHub 安全公告库 (GHSA) · github.com